Welche Fälle sind gemeint?

Autonomes Fahrzeug: Das BMJV schildert einen Unfall, bei dem ein fehlerhafter Navigationsdienst das Fahrzeug gegen einen Poller fahren lässt und einen Insassen verletzt. Bei Einbindung mit Herstellerzustimmung können Fahrzeughersteller und Diensteanbieter haften.

Vernetzter Kühlschrank: Die Gesetzesbegründung nennt einen digitalen Dienst, der die Temperatur überwacht und regelt. Solche für Produktfunktionen notwendigen Dienste werden als Komponenten einbezogen. Auch deren Anbieter können damit Produktverantwortung tragen.

Erfasst wird außerdem eigenständige Software einschließlich KI, auch aus der Cloud. Freie und Open-Source-Software außerhalb einer Geschäftstätigkeit bleibt ausgenommen.

Welche Risiken und Grenzen gelten?

Unter Herstellerkontrolle können fehlerhafte oder fehlende sicherheitsnotwendige Updates nach Markteinführung Haftung auslösen. Wer ein Produkt ohne Herstellerzustimmung wesentlich verändert und anschließend bereitstellt oder in Betrieb nimmt, wird selbst als Hersteller eingeordnet.

Gerichte können bei ausreichend plausiblen Klagen relevante Beweismittel auch von Dritten anfordern; Geschäftsgeheimnisse bleiben geschützt. Unter bestimmten Voraussetzungen erleichtern widerlegbare Vermutungen den Nachweis von Fehler und Ursachenzusammenhang. Technische Komplexität allein genügt nicht.

Voraussetzung bleibt ein Sicherheitsfehler mit erfasstem Schaden. Geschützt werden natürliche Personen bei Personen-, bestimmten Sach- und nicht beruflich genutzten Datenschäden. Schäden am fehlerhaften Produkt selbst, an ausschließlich beruflich genutzten Sachen und an beruflich genutzten Daten sind ausgeschlossen. Personenschäden am Arbeitsplatz können erfasst sein. Bloßer Umsatzausfall ohne erfassten Personen-, Sach- oder Datenschaden genügt nicht; wirtschaftliche Folgen erfasster Schäden können ersatzfähig sein. Andere Haftungsgrundlagen bleiben unberührt.

Das neue Recht soll für ab dem 9. Dezember 2026 erstmals auf dem EU-Markt bereitgestellte oder in Betrieb genommene Produkte gelten. Für Produkte bis einschließlich 8. Dezember 2026 bleibt das bisherige Recht maßgeblich. Gewöhnliche Updates ändern diese Zuordnung nicht automatisch; wesentliche Veränderungen können ein neues Produkt begründen.

Was sollten Unternehmen jetzt prüfen?

Wir empfehlen, zuerst die eigene Betroffenheit zu klären:

• Eigene Produktverantwortung: Entwickeln wir Software oder KI, lassen wir Produkte herstellen, vertreiben wir sie unter eigener Marke oder integrieren wir digitale Komponenten in eigene Produkte? Auch Eigenentwicklungen für den betrieblichen Einsatz können relevant sein.

• Rolle in der Lieferkette: Importieren wir Produkte aus Nicht-EU-Staaten oder handeln wir als EU-Beauftragter? Für Fulfilment-Dienstleister, Lieferanten und bestimmte Online-Plattformen gelten zusätzliche Haftungsvoraussetzungen.

• Mögliche Schäden: Können Sicherheitsfehler Menschen verletzen, geschützte Sachen beschädigen oder nicht beruflich genutzte Daten zerstören? Welche Produkte und Versionen betrifft das?

Bei entsprechender Betroffenheit empfehlen wir, Sicherheitsnachweise, Update-Zuständigkeiten, Informations- und Rückgriffsrechte gegenüber Lieferanten sowie den Versicherungsschutz zu prüfen. Das sind Empfehlungen zur Risikovorsorge, keine zusätzlichen gesetzlichen Pflichten.